安全是個(gè)“老生常談”的話題，尤其是工業(yè)安全，工業(yè)作為國(guó)家經(jīng)濟(jì)的主體，面臨的安全隱患也是不容忽視的。隨著工業(yè)4.0、互聯(lián)網(wǎng)+、中國(guó)智能制造2025等已成為國(guó)家重點(diǎn)發(fā)展戰(zhàn)略，加快建設(shè)和發(fā)展工業(yè)互聯(lián)網(wǎng)，是順應(yīng)全球新一輪工業(yè)革命發(fā)展趨勢(shì)、推動(dòng)經(jīng)濟(jì)高質(zhì)量發(fā)展的優(yōu)先戰(zhàn)略選擇。在工業(yè)互聯(lián)網(wǎng)時(shí)代，由于人、數(shù)據(jù)和機(jī)器的連接，必然會(huì)增加維護(hù)工業(yè)安全的復(fù)雜度，給安全領(lǐng)域的企業(yè)帶來(lái)更大的挑戰(zhàn)。近日，OFweek工控網(wǎng)有幸在上海拜訪了上海控安的核心團(tuán)隊(duì)，雙方就如何保障工業(yè)安全等問(wèn)題進(jìn)行了交流和探討。

工業(yè)安全事故頻發(fā)，上海控安為工業(yè)安全賦能

據(jù)相關(guān)數(shù)據(jù)統(tǒng)計(jì)，中國(guó)每年的工控安全漏洞多達(dá)數(shù)百個(gè)，近一半的漏洞已發(fā)展成為高危漏洞，工控安全維護(hù)迫在眉睫。目前我國(guó)面臨的現(xiàn)狀是多方面原因造成的，一是我國(guó)很多關(guān)鍵基礎(chǔ)設(shè)施的安全維護(hù)很落后；二是工業(yè)網(wǎng)絡(luò)的擴(kuò)大帶來(lái)了很大的被攻擊風(fēng)險(xiǎn)，安全設(shè)施并未及時(shí)跟上；三是與工業(yè)安全相關(guān)的政策不完善，導(dǎo)致“黑客”鉆空子，安全風(fēng)險(xiǎn)無(wú)處不在。

工業(yè)互聯(lián)網(wǎng)為人類提高生產(chǎn)效率，降低成本，減少資源的浪費(fèi)的同時(shí)，隨之而來(lái)的是，通用設(shè)備的受到病毒及自身系統(tǒng)設(shè)計(jì)缺陷等威脅也在工業(yè)控制系統(tǒng)大肆蔓延，工業(yè)控制系統(tǒng)的安全問(wèn)題日益突出。另一方面，我國(guó)的工業(yè)控制系統(tǒng)核心部件與基礎(chǔ)軟件一直被國(guó)外若干巨頭公司所壟斷，這也為我國(guó)工業(yè)控制系統(tǒng)的安全埋下了隱患。上海控安作為技術(shù)引領(lǐng)的工業(yè)安全產(chǎn)品生態(tài)服務(wù)平臺(tái)，深耕工業(yè)互聯(lián)網(wǎng)領(lǐng)域，助力工控安全健康發(fā)展。隨著工業(yè)互聯(lián)網(wǎng)、物聯(lián)網(wǎng)技術(shù)、移動(dòng)技術(shù)的發(fā)展，嵌入式軟件在工業(yè)應(yīng)用越來(lái)越廣泛，尤其在航空航天、軌道交通、汽車電子、核電控制等重點(diǎn)工業(yè)領(lǐng)域，嵌入式軟件的可靠和安全至關(guān)重要。

工控安全領(lǐng)域的創(chuàng)新功能型平臺(tái)

工業(yè)安全該如何保證？前期的安全測(cè)試尤為關(guān)鍵，不僅是保障軟件可靠性和安全性的重要環(huán)節(jié)，更是功能安全測(cè)試中的一項(xiàng)重要工作。據(jù)上海控安相關(guān)人員介紹，上海工業(yè)控制系統(tǒng)安全創(chuàng)新功能型平臺(tái)與華東師范大學(xué)聯(lián)合研發(fā)的國(guó)內(nèi)首款智能化單元測(cè)試數(shù)據(jù)自動(dòng)生成商用工具。采用人工智能領(lǐng)域的自動(dòng)推理與符號(hào)執(zhí)行技術(shù)，自動(dòng)分析程序路徑，自動(dòng)產(chǎn)生滿足覆蓋標(biāo)準(zhǔn)的測(cè)試用例，并在后臺(tái)自動(dòng)執(zhí)行測(cè)試用用例，實(shí)現(xiàn)基本無(wú)需手工修改的全自動(dòng)單元測(cè)試。該工具能夠讓測(cè)試人員擺脫效率低下、質(zhì)量參差不齊的手工測(cè)試用例編寫任務(wù)，大幅提高測(cè)試人員的工作效率，有效提升測(cè)試質(zhì)量。提升嵌入式軟件應(yīng)用的可靠性和安全性。截至目前，已測(cè)試航空航天、軌道交通、汽車電子、核電控制及知名開源軟件超過(guò)100W行，平均語(yǔ)句覆蓋率超過(guò)85%，能夠節(jié)省大量的人力物力，推動(dòng)工業(yè)軟件安全測(cè)試效能提升。

在技術(shù)成果研發(fā)方面，作為上海市政府主導(dǎo)建設(shè)的首批研發(fā)與轉(zhuǎn)化功能型平臺(tái)，上海控安圍繞工業(yè)控制系統(tǒng)功能安全和信息安全，對(duì)接國(guó)際國(guó)內(nèi)工業(yè)控制系統(tǒng)安全前沿技術(shù)領(lǐng)域以及產(chǎn)業(yè)發(fā)展現(xiàn)狀，聯(lián)合產(chǎn)業(yè)鏈上下游單位形成一批面向工業(yè)控制系統(tǒng)安全的核心技術(shù)成果。已針對(duì)工業(yè)控制安全行業(yè)研發(fā)出多款技術(shù)產(chǎn)品，如適用于功能安全檢測(cè)的首款智能化單元測(cè)試用例設(shè)計(jì)工具；工業(yè)控制安全態(tài)勢(shì)感知與監(jiān)測(cè)平臺(tái)；具有主動(dòng)防御功能的物聯(lián)網(wǎng)防火墻；專門為工業(yè)控制環(huán)境打造的終端安全防護(hù)產(chǎn)品工業(yè)終端安全衛(wèi)士、工業(yè)互聯(lián)網(wǎng)APP安全檢測(cè)云平臺(tái)等一系列產(chǎn)品。

在社會(huì)服務(wù)支撐方面，平臺(tái)依托軌道交通、汽車電子、能源電力等行業(yè)資源，聚焦形成具有行業(yè)指導(dǎo)和推廣意義的工業(yè)控制系統(tǒng)安全解決方案，并在長(zhǎng)三角地區(qū)開展示范性應(yīng)用。對(duì)接國(guó)家工業(yè)信息安全發(fā)展研究中心，建設(shè)具有國(guó)家先進(jìn)水平的工業(yè)信息安全仿真測(cè)試、檢測(cè)評(píng)估、網(wǎng)絡(luò)攻防、監(jiān)測(cè)預(yù)警等共性技術(shù)平臺(tái)，開展工業(yè)控制系統(tǒng)安全示范性、基礎(chǔ)性安全服務(wù)；以現(xiàn)有檢測(cè)認(rèn)證、監(jiān)測(cè)預(yù)警功能型機(jī)構(gòu)和技術(shù)平臺(tái)為基礎(chǔ)，多方共同參與，加強(qiáng)工業(yè)領(lǐng)域信息安全審查、產(chǎn)品認(rèn)證、系統(tǒng)測(cè)評(píng)、威脅通報(bào)、咨詢培訓(xùn)等社會(huì)服務(wù)能力，為保障工業(yè)安全提供有力保障。

在產(chǎn)業(yè)集聚融合方面，上海工控安全功能型平臺(tái)將引入市、區(qū)兩級(jí)引導(dǎo)資金和社會(huì)資本，成立工控系統(tǒng)安全發(fā)展基金。以基礎(chǔ)實(shí)驗(yàn)環(huán)境、發(fā)展基金及相關(guān)配套政策吸引具有技術(shù)引領(lǐng)和產(chǎn)業(yè)服務(wù)發(fā)展價(jià)值的研究機(jī)構(gòu)，工控系統(tǒng)集成商、制造商，信息安全企業(yè)進(jìn)駐主題式產(chǎn)業(yè)園，相關(guān)技術(shù)和服務(wù)由長(zhǎng)三角地區(qū)輻射至全國(guó)，并提供相應(yīng)的投融資銜接服務(wù)。

用創(chuàng)新的產(chǎn)品為工業(yè)安全保駕護(hù)航

工業(yè)互聯(lián)網(wǎng)是新一輪工業(yè)革命和產(chǎn)業(yè)變革的重點(diǎn)發(fā)展領(lǐng)域，其核心便是物聯(lián)網(wǎng)，功能安全與信息安全是相互關(guān)聯(lián)的，在設(shè)計(jì)功能安全時(shí)需兼顧信息安全，在滿足信息安全時(shí)又不能影響功能安全的應(yīng)用。作為工業(yè)安全領(lǐng)域的權(quán)威專家，上海控安用創(chuàng)新的產(chǎn)品為工業(yè)安全保駕護(hù)航。據(jù)相關(guān)工作人員介紹，它們推出的產(chǎn)品非常受歡迎，這些產(chǎn)品在智能、綠色和技術(shù)創(chuàng)新等方面表現(xiàn)出色，成為業(yè)內(nèi)人關(guān)注的焦點(diǎn)。

據(jù)悉，上海控安推出的Scantist是國(guó)內(nèi)首款自主研發(fā)的開源軟件安全分析工具，是市場(chǎng)上唯一結(jié)合了源代碼與二進(jìn)制文件分析的解決方案，對(duì)應(yīng)用程序中使用的第三方組件提供詳細(xì)分析與見解，使用戶能更主動(dòng)的管理第三方組件所帶來(lái)的安全與合規(guī)風(fēng)險(xiǎn)，是實(shí)施DevsecOPs的里程碑。

車聯(lián)網(wǎng)是未來(lái)的趨勢(shì)，隨著而來(lái)的是安全難題，根據(jù)車內(nèi)通信網(wǎng)絡(luò)的功能的不同，對(duì)安全性的要求也不同，需要針對(duì)通信內(nèi)容設(shè)計(jì)特定的安全功能部署。汽車系統(tǒng)功能安全與汽車信息安全是相互滲透的，所有功能安全關(guān)鍵系統(tǒng)本身都是信息安全關(guān)鍵系統(tǒng)，兩者的目標(biāo)一致，因此在架構(gòu)功能設(shè)計(jì)之初就需將功能安全和信息安全都納入到系統(tǒng)。目前主流的安全方案有一定局限性，主要集中在端到端的數(shù)據(jù)安全以及車載網(wǎng)絡(luò)層安全，缺點(diǎn)在于不具備車載終端主機(jī)加固能力。據(jù)了解，上海控安的智能網(wǎng)聯(lián)汽車的安全方案非常具有前瞻性，推出的車載嵌入式安全套件，提供T-Box、IVI終端安全加固，防止惡意代碼威脅入侵及非法訪問(wèn)，支持Linux、QNX等嵌入式操作系統(tǒng)，支持網(wǎng)絡(luò)協(xié)議白名單、應(yīng)用進(jìn)程白名單、USB設(shè)備白名單，保護(hù)系統(tǒng)進(jìn)程和關(guān)鍵文件支持白名單策略配置和自學(xué)習(xí)。

據(jù)介紹，上海控安研發(fā)的國(guó)內(nèi)首款工業(yè)嵌入式單元智能測(cè)試工具已在上海汽車集團(tuán)股份有限公司、浙江吉利汽車有限公司、廣州汽車集團(tuán)股份有限公司等企業(yè)進(jìn)行測(cè)試應(yīng)用，該工具能夠讓測(cè)試人員擺脫效率低下、質(zhì)量參差不齊的手工測(cè)試用例編寫任務(wù)，大幅提高測(cè)試人員的工作效率，有效提升測(cè)試質(zhì)量，提升工業(yè)控制系統(tǒng)嵌入式軟件應(yīng)用的可靠性和安全性。

除了上述產(chǎn)品之外，上海控安的工業(yè)互聯(lián)網(wǎng)APP安全檢測(cè)云平臺(tái)為客戶提供工業(yè)產(chǎn)品全面安全測(cè)評(píng)，包括提供主動(dòng)式工控設(shè)備安全檢測(cè)、工業(yè)移動(dòng)應(yīng)用軟件安全檢測(cè)、分布式性能測(cè)試、工業(yè)軟件源代碼安全檢測(cè)、兼容性測(cè)試、互聯(lián)互通測(cè)試等服務(wù)；平臺(tái)針對(duì)典型的工業(yè)互聯(lián)網(wǎng)應(yīng)用軟件進(jìn)行安全測(cè)評(píng)和風(fēng)險(xiǎn)評(píng)估，并在測(cè)評(píng)數(shù)據(jù)分析的基礎(chǔ)上提出有效的整改建議，可應(yīng)用在各行業(yè)的工業(yè)互聯(lián)網(wǎng)領(lǐng)域。

助力中國(guó)制造2025

工業(yè)安全作為國(guó)家網(wǎng)絡(luò)和信息安全的重要組成部分，是推動(dòng)中國(guó)制造2025、制造業(yè)與互聯(lián)網(wǎng)融合發(fā)展的基礎(chǔ)保障。面對(duì)逐步開放和互聯(lián)的工業(yè)控制網(wǎng)絡(luò)，企業(yè)需要審查自身安全漏洞，建立更新的網(wǎng)絡(luò)防護(hù)體系。隨著工業(yè)互聯(lián)網(wǎng)新技術(shù)新模式帶來(lái)新的安全挑戰(zhàn)越來(lái)越多，我國(guó)工業(yè)互聯(lián)網(wǎng)安全產(chǎn)業(yè)亟待轉(zhuǎn)型升級(jí)。從應(yīng)急響應(yīng)已經(jīng)轉(zhuǎn)變?yōu)槌掷m(xù)響應(yīng)，企業(yè)是響應(yīng)政策的關(guān)鍵力量。上海工控安全功能型平臺(tái)對(duì)接工業(yè)互聯(lián)網(wǎng)及中國(guó)制造2025戰(zhàn)略創(chuàng)新發(fā)展要求，聚焦工業(yè)控制系統(tǒng)功能安全和信息安全核心技術(shù)研發(fā)及成果轉(zhuǎn)化，致力于全面提升上海市工業(yè)控制安全領(lǐng)域核心能力，推動(dòng)工業(yè)互聯(lián)網(wǎng)和智能制造產(chǎn)業(yè)升級(jí)。

談到未來(lái)的建設(shè)目標(biāo)，上海控安將在技術(shù)轉(zhuǎn)化、服務(wù)支撐、產(chǎn)業(yè)引導(dǎo)方面形成自己的核心能力：一是布局建設(shè)基礎(chǔ)實(shí)驗(yàn)環(huán)境，搭建工控系統(tǒng)安全一體化驗(yàn)證測(cè)試系統(tǒng)、工業(yè)互聯(lián)網(wǎng)安全試驗(yàn)床和攻防靶場(chǎng)；二是突破若干工控安全核心技術(shù)，梳理安全瓶頸技術(shù)難題，組織力量協(xié)同攻關(guān)；三是積極參加國(guó)際和國(guó)家標(biāo)準(zhǔn)的制定，在軌道交通、汽車電子、電力等領(lǐng)域形成行業(yè)解決方案和技術(shù)標(biāo)準(zhǔn)；四是完善專業(yè)服務(wù)，與相關(guān)主體聯(lián)合形成基礎(chǔ)實(shí)驗(yàn)環(huán)境與技術(shù)平臺(tái)建設(shè)與共享機(jī)制，完善檢測(cè)評(píng)估、仿真驗(yàn)證、監(jiān)測(cè)預(yù)警等能力，并為政府與企業(yè)提供決策咨詢、人才培訓(xùn)等服務(wù)。